第4章 生成樹協(xié)議與端口安全綜述

第4章生成樹協(xié)議與端口安全4.1生成樹協(xié)議

4.1.1生成樹協(xié)議的作用

功能強大、可靠的網(wǎng)絡(luò)需要有效地傳輸流量，提供冗余和故障的快速恢復(fù)功能。在第2層網(wǎng)絡(luò)中，路由協(xié)議不可用，生成樹協(xié)議通過從軟件層面修改網(wǎng)絡(luò)物理拓撲結(jié)構(gòu)來構(gòu)建一個無環(huán)路邏輯轉(zhuǎn)發(fā)拓撲結(jié)構(gòu)，提供了物理線路的冗余連接，消除了網(wǎng)絡(luò)風(fēng)暴，從而提高網(wǎng)絡(luò)的穩(wěn)定性和減少網(wǎng)絡(luò)故障的發(fā)生率。

4.1生成樹協(xié)議4.1.2生成樹協(xié)議的原理1．生成樹協(xié)議的工作過程

２．根網(wǎng)橋的選擇

３．根端口的選擇

４．指定端口的選擇

５．刪除橋接環(huán)

6．生成樹協(xié)議的端口狀態(tài)

4.1生成樹協(xié)議4.1.3快速生成樹協(xié)議改進1：為根端口和指定端口設(shè)置了快速切換用的替換端口（AlternatePort）和備份端口（BackupPort）兩種角色，當(dāng)根端口/指定端口失效的情況下，替換端口/備份端口就會無時延地進入轉(zhuǎn)發(fā)狀態(tài)改進2：在只連接了兩個交換端口的點對點鏈路中，指定端口只需與下游網(wǎng)橋進行一次握手就可以無時延地進入轉(zhuǎn)發(fā)狀態(tài)

改進3：直接與終端相連而不是把其他網(wǎng)橋相連的端口定義為邊緣端口（EdgePort）。邊緣端口可以直接進入轉(zhuǎn)發(fā)狀態(tài)，不需要任何延時.4.1生成樹協(xié)議4.1.4

VLAN快速生成樹協(xié)議每個VLAN都生成一棵樹是一種比較直接，而且最簡單的解決方法，能夠保證每一個VLAN都不存在環(huán)路4.1.5多實例生成樹協(xié)議多實例生成樹協(xié)議是基于實例的，所謂實例就是多個VLAN的一個集合，通過多個VLAN捆綁到一個實例中去的方法可以節(jié)省通信開銷和資源占用率。4.1生成樹協(xié)議4.1.6生成樹協(xié)議的配置Sw_3550(config)#［no］spanning-tree[vlan

vlan]Sw_3550(config)#spanning-treevlan

vlanpriority0Sw_3550(config)#spanning-treepathcostmethod{long|short}Sw_3550(config-if)#spanning-treeguard{root|none}Sw_3550(config-if)#spanning-treeport-priorityport-prioritySw_3550(config-if)#spanning-treevlan

vlan-listport-prioritypriority4.1生成樹協(xié)議Sw_3550(config)#spanning-treevlan

vlan

forward-timedelay

Sw_3550(config)#spanning-treevlan

vlanhello-timeintervalSw_3550(config)#spanning-treevlan

vlanmax-ageagingtimeSw_3550(config)#spanning-treeportfastSw_3550(config)#spanning-treeportfast

bpduguard

Sw_3550(config)#spanning-treeportfast

bpdufilter

Sw_3550(config)#spanning-treeuplinkfast[max-update-ratepackets-per-second]4.1生成樹協(xié)議Sw_3550(config)#spanning-treebackbonefast

Sw_3550#showspanning-tree[active[detail]]Sw_3550#showspanning-tree[backbonefast|blockedports|interface|pathcostmethod|summary[totals]|uplinkfast]Sw_3550#showspanning-tree[root[address|cost|detail|forward-time|hello-time|id|max-age|port|prioritysystem-id]|vlan

vlan_list[active[detail]|blockedports|bridge[address|detail|forward-time|hello-time|id|max-age|priority|protocol]|detail[active]|inconsistentports|summary]]4.1.7生成樹協(xié)議實例4.1.8生成樹協(xié)議總結(jié)4.1生成樹協(xié)議4.2端口安全

4.2.1端口安全的作用端口安全功能是通過對MAC地址表的配置，來實現(xiàn)在某一端口只允許一臺或者幾臺確定的設(shè)備訪問此臺交換機端口。從而減少交換機被黑客攻擊，增強交換機的安全性，提高局域網(wǎng)的安全性。4.2端口安全

4.2.1端口安全的原理

⑴交換機在重新啟動或手工清除MAC地址表后，MAC地址表沒有任何MAC地址的記錄。如圖所示。

4.2端口安全⑵假設(shè)主機A向主機C發(fā)送數(shù)據(jù)包，因為現(xiàn)在MAC地址表為空，所以端口E0將從數(shù)據(jù)包中提取源MAC地址，將此MAC地址記錄到MAC地址表中，同時向其它所有的端口發(fā)送此數(shù)據(jù)包，如果某一主機在接收到此數(shù)據(jù)包后，將提取目標MAC地址，并與自己網(wǎng)卡的MAC地址進行比較，如果相等，則接收此數(shù)據(jù)包；否則丟棄此數(shù)據(jù)包。如圖所示。4.2端口安全⑶如果主機A、B、C、D都已經(jīng)向其它主機發(fā)送數(shù)據(jù)包，則MAC地址表將會有4條記錄。如圖所示。

4.2端口安全⑷現(xiàn)在假設(shè)主機A向主機C發(fā)送數(shù)據(jù)包，交換機會提取數(shù)據(jù)包的目的MAC地址，通過查找MAC地址表，有一條記錄的MAC地址與目的MAC地址相等，而且知道此目的MAC所對應(yīng)的端口為E2，此時E0端口會將數(shù)據(jù)包直接轉(zhuǎn)發(fā)到E2端口，如圖所示。

4.2端口安全4.2.2端口安全的配置

sw_3550(config_if)#switchportport-securitysw_3550(config_if)#

switchportport-securitymaximum

valuesw_3550(config_if)#

switchportport-securitymac-address

mac-address